短く言うと: HIPAA（1996年、プライバシー、セキュリティ、および違反通知規則）は、対象となる事業者、健康保険プラン、医療クリアリングハウス、および電子請求を行う医療提供者、ならびにそれらの業務委託先に適用されます。これは、それらが保有する保護対象医療情報を保護し、個人の許可なしに許可される利用方法を定めています。GDPR（2016年）は、EU居住者の個人データを処理するあらゆる管理者または処理者に適用され、健康データは特別なカテゴリとして扱われます。これは、すべての利用に対して法的根拠を必要とし、個人に執行可能な権利を与えます。製品における実質的な違いは、米国の消費者向け健康アプリは通常HIPAAの対象外であり、代わりにFTCおよび州法によって規制されることです。一方、EUの同じアプリは、最初のユーザーからGDPRの対象となります。両方にサービスを提供する製品は、GDPRの広範さとHIPAAの規定された安全対策の両方を同時に満たすように構築する必要があります。
並べて比較
HIPAAは米国の対象事業者に適用され、保護された医療情報を扱うビジネスパートナーを規制しますが、GDPRはEU居住者のデータを扱う管理者または処理者を規制します。HIPAAは、許可なしでの治療、支払い、および業務上の利用を認め、違反通知に60日間の猶予を与えます。一方、GDPRはすべての目的に対して法的根拠を要求し、消去権とポータビリティ権を付与し、72時間の猶予を与えます。
| HIPAA (米国) | GDPR (EU) | |
|---|---|---|
| 規制対象 | 対象となる事業者および業務委託先 | EU居住者のデータを処理するあらゆる管理者または処理者（場所を問わない） |
| 対象データ | 保護対象医療情報（PHI）：対象となる事業者が保有する識別可能な健康データ | すべての個人データ。健康データは特別なカテゴリ（第9条） |
| 消費者向け健康アプリ | 対象となる事業者のために活動しない限りHIPAAの対象外。FTC法、FTC健康情報漏洩通知規則、州法が適用される | GDPRの対象。通常、明示的な同意が根拠となる |
| 利用の法的根拠 | 許可された利用（治療、支払い、運営、およびリストされた例外）。それ以外は許可が必要 | すべての目的について、第6条の根拠と第9条(2)の例外が必要 |
| 必要最小限 / 最小化 | 必要最小限の基準 | データ最小化の原則（第5条） |
| 個人権利 | アクセス（30日）、修正、開示の記録、制限 | アクセス（1ヶ月）、訂正、消去、ポータビリティ、異議申し立て、制限、同意の撤回 |
| 匿名化 | Safe Harbor（18の識別子）または専門家による判定 | 匿名化（個人データではなくなる）対仮名化（個人データとして残る） |
| セキュリティ | セキュリティ規則：管理上、物理的、技術的な安全対策。リスク分析。対処可能対必須の仕様 | 第32条：リスクに応じた適切な措置。固定リストなし |
| 違反通知 | 発見から60日以内に個人およびHHSへ（500人以上の場合はメディアへ）。小規模な違反は年次記録 | 高リスクの場合は、当局へ72時間以内。個人へは不当な遅延なく |
| 契約 | 業務委託契約（BAA） | 処理契約（第28条） |
| 監督役 | プライバシー責任者およびセキュリティ責任者 | 要求される場合（第37条）のデータ保護責任者 |
| 影響評価 | セキュリティ規則に基づくリスク分析 | 第35条に基づくDPIA |
| 国際転送 | HIPAA自体に制限なし | 第5章：適合性、SCC、データプライバシースクエアワーク |
| 執行 | HHS公民権局、州検事総長 | 各国のデータ保護当局、EDPB |
| 罰金 | 段階的な民事罰、インフレ調整済み、年間約200万ドル/規定あたり。刑事罰 | 最大2,000万ユーロまたは全世界売上高の4% |
実践における範囲の違い
実際には、HIPAAは健康アプリがBAA（Business Associate Agreement）の下で対象事業者のために事業を行う場合にのみ適用されます。患者が選択するコンシューマーアプリはHIPAAの対象外であり、FTCおよび州法によって規制されます。EUでは、同じアプリが最初のユーザーからGDPRの管理者となります。
クラウドFHIRプラットフォームを使用する米国の病院：病院は対象となる事業者、プラットフォームはBAAに基づく業務委託先であり、両方ともHIPAAの対象となります。自身の検査結果をアプリにアップロードする米国の消費者：HIPAAはアプリには適用されません。FTC（虚偽表示行為、および2024年に健康アプリに明示的に適用されるようになった健康情報漏洩通知規則）が適用され、ワシントン州のMy Health My Data Act（2023年）のような州法も適用されます。これは、消費者向け健康データの収集に同意を必要とし、健康施設周辺のジオフェンシングを禁止しています。また、カリフォルニアCPRA、ネバダ州、コネチカット州法の健康関連規定も適用されます。同じことを行うEUの患者：アプリはGDPRに基づく管理者であり、初日から第9条の義務を負います。GDPR第9条（健康データ）を参照してください。
法的根拠の違い
HIPAAとGDPRは、法的根拠に関して反対の立場から始まります。HIPAAは、対象事業者が保護された医療情報を、許可なしで治療、支払い、および医療業務のために使用することを許可し、その他の目的には書面による許可を要求します。GDPRは、第9条(2)の例外が適用されない限り、医療データの処理を禁止するため、デフォルトで許可されるものはなく、同意は明示的、具体的、かつ撤回可能でなければなりません。
HIPAAは許可された利用から始まります。対象となる事業者は、治療、支払い、医療業務のために、または公共の利益のためのリストされた目的のために、許可を求めることなくPHIを使用および開示できます。それ以外は書面による許可が必要です。GDPRは、例外を伴う禁止（健康データの場合）から始まります。「デフォルト」で許可されるものはありません。同意が使用される場合、それは明示的、具体的、かつ撤回可能でなければなりません。米国の製品チームが「運営」は分析をカバーするという考え方は、EUでは通用しません。EUでは、健康データの分析には同意または匿名化が必要です。
権利の違い
個人に関する権利について、HIPAAとGDPRは両方ともアクセス権と訂正権を付与しますが、GDPRは消去権、機械可読形式でのポータビリティ権、異議申し立て権、および同意撤回権を追加しており、これらはHIPAAにはありません。GDPRの権利に対応し、エクスポート、削除、および撤回機能を製品に備えた製品は、HIPAAのアクセス権を余裕をもって満たします。
Cures Actの情報ブロック規制とAPIを通じた電子PHIへのアクセス権は、米国の患者をポータビリティへと向かわせています。
セキュリティと違反
HIPAAのセキュリティ規則は、必須のリスク分析、指定された管理、物理的、技術的な保護措置、ポリシー、トレーニング、および監査制御を備えた、処方的なものです。GDPRの第32条は、リスクに応じた適切な措置を求める結果ベースのものであり、通常はISO 27001を通じて示されます。違反の期限は大きく異なります。HIPAAでは個人およびHHSへの通知に60日、GDPRでは当局への通知に72時間です。
HIPAAのセキュリティ規則は規定的です。リスク分析、指定された安全対策、ポリシー、トレーニング、監査制御、および暗号化と多要素認証を対処可能なものから必須にする2025年の提案更新が含まれます。GDPRの第32条は結果重視です。リスクに応じた適切な措置であり、暗号化と仮名化が例として挙げられています。ISO 27001が一般的な証明方法です。違反のタイムラインは大きく異なります。HIPAAでは個人およびHHSへ60日、GDPRでは当局へ72時間です。共同インシデント対応計画は、より短い期限を使用します。ISO 27001 vs ISO 27799を参照してください。
匿名化
HIPAAのSafe Harborは18の識別子を削除し、データはもはやPHIではなくなります。専門家による判定は、再識別リスクが非常に小さいことを証明します。GDPRにはリストがありません。データは、誰も合理的に再識別できない場合にのみ匿名であり、仮名化されたデータは個人データとして残ります。Safe Harborの出力は、特に日付やまれな状態の場合、GDPRの基準を満たさないことがよくあります。健康データの匿名化を参照してください。
両方に対応した構築
米国とEUの両方にサービスを提供する製品は、まずGDPR（目的ごとの同意、製品内の権利、DPIA、72時間の違反対応計画、EUホスティングオプション）に合わせて設計し、その上にHIPAAの処方的な要素（リスク分析文書、BAAテンプレート、セキュリティ規則ポリシー、60日間の違反手順、および従業員トレーニング記録）を重ねるのが最善です。
GDPR（目的ごとの同意、製品内の権利、DPIA、72時間対応計画、EUホスティングオプション）に合わせて設計し、HIPAAの規定された成果物（リスク分析文書、BAAテンプレート、セキュリティ規則ポリシーセット、60日違反手順、従業員トレーニング記録）を上に重ねます。米国のデータとEUのデータを分離可能な地域に保持します。これは、GDPRの転送と一部の米国の州法が場所を気にするためです。Anpherosはこのように構築されています。欧州企業としてGDPRを最優先し、プラットフォームは米国の顧客のためにBAAに基づく業務委託先として機能できます。開発者サイトには開発者向けGDPRとセキュリティに関するドキュメントがあります。
このページは、製品およびエンジニアリングチーム向けの規制について説明しています。これは法的助言ではありません。情報源の下にリンクされているテキストが権威であり、あなたのデータ保護責任者、通知機関、または顧問があなたのケースを決定します。最終レビュー：2026年10月。
関連ページ
情報源
- HHS: HIPAA for professionals (Privacy, Security, Breach Notification Rules)
- HHS: Breach Notification Rule
- FTC Health Breach Notification Rule (16 CFR Part 318)
- Washington State: My Health My Data Act (HB 1155)
- Regulation (EU) 2016/679 (GDPR), EUR-Lex
- European Commission: EU-US Data Privacy Framework
よくある質問
HIPAA準拠のアプリは自動的にGDPR準拠になりますか？
いいえ。HIPAA準拠は、法的根拠、同意の質、消去、ポータビリティ、DPIA、DPO、または転送については何も述べていません。GDPRのセキュリティ要件の一部と、異なる違反体制をカバーしています。
医師が推奨した場合、HIPAAは私のアプリに適用されますか？
それだけでは適用されません。アプリが対象となる事業者のために、業務委託契約（例えば、クリニックの要求に応じてクリニックのワークフローに統合される場合）に基づいて活動する場合にHIPAAが適用されます。患者が選択し、管理するアプリはHIPAAの対象外であり、FTCおよび州法の下にあります。
EUと米国の共同インシデントの場合、どちらの違反期限に従うべきですか？
両方です。EU居住者のデータについてはEU当局へ72時間、PHIについては個人およびHHSへ60日、さらに（しばしば30日から60日）の州の期限と、消費者向け健康アプリに対するFTC規則の60日です。対応計画は最も短い期限に合わせて作成されます。
EUの健康データは米国で処理できますか？
はい、第5章の転送ツールを使用すれば可能です。認定企業の場合はEU-米国データプライバシースクエアワーク、または転送影響評価を伴う標準契約条項です。しかし、多くの欧州の顧客は、契約条件としてEUホスティングを要求しています。
サンドボックスで無料で試す
5分で最初のFHIR呼び出し. 患者さんの同意が組み込まれたHL7 FHIR R4 APIです。サンドボックスでお試しいただき、ご自身のアプリやクリニックのシステムを接続してください。
無料・合成患者30人・カード不要
Anpherosは、患者が管理し、あらゆるクリニックと共有できる医療記録を、EUを拠点とするHL7 FHIR R4プラットフォーム上で構築しています。これらのガイドは、ご自身の健康を理解し整理するのに役立ちますが、医師の代わりになるものではありません。
Anpherosについて →